Le Health Data Hub : enfin un pas vers la souveraineté numérique

Ce matin, j'ai été invité par France Culture pour évoquer la procédure lancée par le gouvernement afin de trouver un nouvel hébergeur pour le Health Data Hub, la plateforme nationale des données de santé. Le format radio impose d'aller vite, trop vite. Je ne sais même pas si l'interview sera diffusée.

Cependant, je n'ai pas pu revenir sur plusieurs points essentiels : la valeur exceptionnelle de ces données, leur rôle stratégique pour l'intelligence artificielle, les enjeux juridiques réels liés au cloud américain, ni ce que signifie concrètement la migration annoncée ainsi que la notion de souveraineté numérique.

Ce texte est donc une mise à plat de ce qui est en jeu.

Qu'est-ce que le Health Data Hub ?

Le Health Data Hub (HDH) est une plateforme publique créée en 2019 pour centraliser, structurer et mettre à disposition de manière encadrée les données de santé françaises à des fins de recherche, d'innovation et de pilotage des politiques publiques.

Il s'appuie principalement sur le Système National des Données de Santé (SNDS), qui regroupe notamment :

• les données de remboursement de l'Assurance maladie,
• les données d'hospitalisation (PMSI),
• les causes médicales de décès,
• et d'autres sources médico-administratives.

Concrètement, cela concerne près de 99 % de la population française, soit plus de 67 millions de personnes.

Ce qui rend cette base unique au monde, ce n'est pas seulement son volume (des milliards d'enregistrements) mais sa qualité : données longitudinales, exhaustives, nettoyées, harmonisées selon des standards internationaux et mises à jour régulièrement. Peu de pays disposent d'un tel niveau de profondeur historique à l'échelle nationale.

Le HDH n'est pas un simple entrepôt : il fournit des environnements sécurisés de travail, permettant aux chercheurs, hôpitaux, startups ou institutions publiques d'exploiter les données sans les extraire, dans un cadre contrôlé.

Pourquoi les données de santé sont-elles un actif stratégique ?

En 2026, les données de santé sont devenues un actif stratégique majeur pour l'intelligence artificielle. Une IA médicale fiable nécessite des jeux de données :

• massifs,
• représentatifs,
• peu biaisés,
• et de haute qualité.

Le SNDS coche toutes ces cases.

Ces données permettent notamment :

• la détection précoce de cancers ou de maladies chroniques,
• l'optimisation des parcours de soins,
• l'analyse à grande échelle des effets secondaires de traitements,
• la modélisation d'épidémies,
• le développement de la médecine personnalisée.

La stratégie nationale IA & santé (2025-2028) repose largement sur cet actif. Le campus PariSanté fédère déjà plus de 1 300 acteurs autour de cet écosystème. À l'échelle européenne, le futur Espace européen des données de santé (EHDS) s'appuiera directement sur des bases nationales comme la nôtre : le règlement (UE) 2025/327 est entré en vigueur le 26 mars 2025, et ses principales dispositions sur l'usage secondaire des données s'appliqueront par étapes à partir de mars 2029.

Ces données ne sont donc pas seulement un outil scientifique. Elles sont un levier économique, industriel et géopolitique.

Pourquoi le choix de Microsoft Azure pose-t-il problème ?

Lors de la création du HDH en 2019, le choix s'est porté sur Microsoft Azure. À l'époque, l'argument avancé était l'absence d'alternative européenne suffisamment mature. Ce choix a immédiatement suscité une controverse, et à juste titre.

Le problème n'est pas « Microsoft est américain », mais le cadre juridique auquel Microsoft est soumis. En tant qu'entreprise américaine, Microsoft est assujetti au CLOUD Act, qui permet aux autorités américaines d'exiger l'accès à des données détenues par une entreprise américaine, y compris si ces données sont hébergées en Europe, et sans passer par une décision judiciaire européenne.

Ce risque n'est pas théorique. Le 10 juin 2025, devant la commission d'enquête du Sénat sur la commande publique, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a été interrogé sans détour : pouvait-il garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines sans l'accord de la France ? Sa réponse tient en une phrase : « Non, je ne peux pas le garantir. »

À partir de là, le débat n'est plus idéologique. Il est factuel.

À ce risque juridique s'ajoute un risque cyber bien documenté : le secteur de la santé est l'un des plus ciblés au monde. Une compromission aurait des conséquences graves : usurpation d'identité médicale, chantage, exploitation malveillante à des fins d'IA.

Enfin, il y a un enjeu de concurrence stratégique : héberger des données de santé d'une telle qualité chez un hyperscaler américain, c'est accepter que l'écosystème extra-européen bénéficie indirectement d'un avantage décisif pour l'entraînement de modèles d'IA santé.

Sur le plan de la souveraineté numérique, c'était une anomalie majeure.

Que change la migration vers un hébergeur SecNumCloud ?

Le 6 février 2026, le gouvernement a annoncé le lancement d'une procédure pour sélectionner un nouvel hébergeur du HDH. L'appel d'offres a été lancé le 9 février 2026, avec une attribution visée pour la fin mars 2026 et une migration complète d'ici fin 2026. La solution transitoire un temps envisagée a été abandonnée au profit de l'hébergement d'une copie complète de la base principale du SNDS d'ici la fin de l'année.

Le critère central est clair : la qualification SecNumCloud délivrée par l'ANSSI.

SecNumCloud impose notamment :

• un haut niveau de chiffrement,
• une localisation et une maîtrise européennes des données,
• une protection renforcée face aux lois extraterritoriales,
• des audits réguliers et exigeants.

En pratique, cela exclut les hyperscalers américains. La sélection passe par le marché « Nuage Public » piloté par la direction interministérielle du numérique (DINUM) et l'UGAP, et plusieurs acteurs français ou européens se positionnent : OVHcloud associé à Docaposte, Cloud Temple allié à Atos, Orange Business, Scaleway, ou encore S3NS, la coentreprise de Thales et Google. Ce dernier cas illustre déjà la limite de l'exercice : la souveraineté se joue autant dans le montage capitalistique que dans le label.

Ce n'est pas un simple changement d'infrastructure. C'est un choix politique et stratégique : protéger la vie privée des citoyens, renforcer la résilience cyber, et conserver en Europe la valeur scientifique et économique de ces données.

Pourquoi ce virage arrive-t-il beaucoup trop tard ?

La migration du Health Data Hub vers un hébergeur qualifié SecNumCloud est une excellente décision. Mais c'est aussi une décision tardive, et ce retard a un coût.

Pendant des années, nous avons perdu du temps, de la crédibilité et surtout de la confiance. Confiance des citoyens, qui ont vu leurs données les plus sensibles hébergées dans un cadre juridiquement contestable. Confiance des chercheurs et des institutions, enfermés dans un débat permanent sur la légitimité même de la plateforme. Confiance, enfin, dans la capacité de l'État à traiter le numérique comme un sujet stratégique, et non comme une simple ligne budgétaire ou un problème technique.

Ce choix initial a durablement fragilisé le Health Data Hub. Il a transformé un projet d'intérêt général en symbole de dépendance technologique, et a nourri une défiance qui aurait pu être évitée.

Une dépendance structurelle qui dépasse la France

Il serait illusoire de croire que cette décision marque, à elle seule, une rupture nette avec notre dépendance aux géants américains du cloud.

Aujourd'hui encore, la majorité des appels d'offres publics sont rédigés de manière à favoriser, parfois implicitement, les hyperscalers américains. Non pas par idéologie, mais par habitude, par facilité, et souvent par manque de culture technique et juridique au moment de la rédaction des besoins. Les critères de performance, de scalabilité ou de services managés sont trop souvent pensés à travers le prisme des mastodontes américains, reléguant les acteurs européens au rang « d'alternatives », quand ils devraient être considérés comme des choix stratégiques à part entière.

Le paradoxe est là : on parle de souveraineté après coup, une fois les dépendances déjà installées.

Il faut aussi être honnête : ce changement de direction ne relève pas uniquement d'une prise de conscience nationale. Il s'inscrit dans un mouvement beaucoup plus large, à l'échelle européenne, porté par la montée des tensions géopolitiques, la judiciarisation croissante des flux de données, et la compréhension tardive mais réelle que le numérique est désormais un levier de puissance au même titre que l'énergie ou la défense. L'Allemagne, les pays nordiques, les Pays-Bas, l'Italie suivent la même trajectoire : réévaluer les dépendances, renforcer les exigences de contrôle, reprendre la main sur les infrastructures critiques.

Et ce mouvement ne vient pas seulement des États. Il vient aussi du terrain. Chez Cresco Cybersecurity, nous accompagnons déjà des organisations publiques et privées confrontées à des besoins très concrets de souveraineté numérique : maîtrise des données sensibles, réversibilité réelle des infrastructures, conformité juridique durable, réduction de la dépendance technologique. Ce ne sont plus des débats théoriques. Ce sont des problématiques opérationnelles, posées par des DSI, des RSSI, des directions générales qui ont compris que le « tout cloud américain » n'est plus tenable à long terme.

La souveraineté numérique n'est pas une posture idéologique. C'est une question de résilience, de continuité, et de responsabilité.

Un pas dans la bonne direction, mais pas une fin en soi

La sortie du Health Data Hub d'Azure est un signal fort. Elle montre que l'État est enfin capable de reconnaître une erreur stratégique et de la corriger. Mais ce virage arrive tard, et il ne doit pas rester isolé.

La souveraineté ne se décrète pas : elle se construit dans la durée, par la gouvernance, la transparence, la maîtrise technique et la capacité à dire non quand il le faut. Elle ne se limite pas à un appel d'offres ou à un label. Elle exige une transformation plus profonde :

• dans la manière de penser les architectures,
• dans la rédaction des marchés publics,
• dans la formation des décideurs,
• et dans le courage politique de sortir des dépendances installées.

Ce choix est salutaire. Il doit maintenant devenir structurant. Sans quoi, dans quelques années, nous risquerions de découvrir que nous avons simplement déplacé le problème sans jamais vraiment le résoudre.

---

Sources

• Migration du Health Data Hub vers un hébergeur SecNumCloud, procédure du 9 février 2026, marché « Nuage Public » et candidats : Next, 9 février 2026.
• Audition d'Anton Carniaux (Microsoft France) et propos sur le CLOUD Act, 10 juin 2025 : commission d'enquête du Sénat sur la commande publique.
• Espace européen des données de santé (EHDS), règlement (UE) 2025/327 entré en vigueur le 26 mars 2025 : Commission européenne.